Er bestaan natuurlijk vele tientallen routermerken en -modellen. Voor dit artikel – en de schermafbeeldingen – hebben we drie (iets oudere) draadloze routers voor thuisgebruik ingezet: D-Link DIR-635, Cisco/Linksys WRT150N en MSI RG300N.

We hebben echter geprobeerd onze tips en trucs zo algemeen mogelijk te formuleren, zodat je snel de besproken functie in je eigen router kunt terugvinden. We gaan er wel vanuit dat je weet hoe je het configuratiescherm van je router bereikt en hoe je gegevens als ip-adres of mac-adres van je router of netwerkclient kunt opvragen. Ten slotte, houd er rekening mee dat sommige aanpassingen een herstart van het toestel vergen.

Tip 1: Dhcp-bereik

De kans is groot dat je router ingesteld is voor het dynamisch toekennen van ip-adressen aan je netwerktoestellen. Het kan echter handig zijn dat je bepaalde apparaten van een statisch ip-adres voorziet. Zorg er dan wel voor dat zo’n vast adres buiten het bereik ligt van de dynamische adrespool, om er zeker van te zijn dat twee apparaten niet hetzelfde adres krijgen toegekend. Stel dat je een toestel het adres 192.168.0.20 hebt gegeven, dan zou je het adresbereik van de dhcp-server van je router bijvoorbeeld kunnen instellen op 192.168.0.50 tot 192.168.0.79 (gesteld dat je aan dertig adressen voldoende hebt).

Tip 2: Dhcp- reservering

Een andere mogelijkheid om een toestel telkens hetzelfde adres toe te kennen, is via statische toewijzing – ook wel Address Reservation of DHCP Reservation genoemd. Het komt erop neer dat je een bepaald ip-adres aan het (unieke) mac-adres van een toestel bindt. De router zorgt er dan voor dat dit toestel altijd datzelfde ip-adres krijgt toegekend. Sommige routers bieden tevens ARP Binding aan, een vergelijkbare functie, die er echter ook op gericht is manipulaties als ARP poisoning te voorkomen (bijvoorbeeld met een hacktool als Cain, www.oxid.it/cain.html).

Tip 3: OpenDNS

Dns (domain name service) zorgt ervoor dat een webadres correct wordt omgezet naar het ip-adres van die webserver. Nu heb je wellicht het internetverbindingstype van je router op automatisch (dhcp) ingesteld. Dat houdt in dat je router een wan-adres van je provider krijgt toegekend én dat het toestel webadressen automatisch zal doorspelen naar de dns-servers van die provider. Heel wat routers laten je ook in dit geval toe andere dns-servers in te stellen. Hier zou je dan de dns-servers van OpenDNS kunnen invullen (208.67.222.222 en 208.67.220.220). Die bieden namelijk verschillende voordelen, in combinatie met een gratis account bij OpenDNS. Zo word je automatisch beveiligd tegen malafide sites, kun je op allerlei webinhoud filteren en zijn er gedetailleerde rapporten beschikbaar. Meer erover lees je op www.opendns.com.

Tip 4: Port forwarding

Stel, je hebt op een pc met lan-ip-adres 192.168.0.20 een server draaien op poort 8080, bijvoorbeeld een webserver. Wil je die vanaf internet kunnen bereiken, dan moet je het wan-ip-adres van je router invoeren, gevolgd door poortnummer 8080 (bijvoorbeeld: http://84.13.22.219:8080). Je router moet natuurlijk weten dat binnenkomend verkeer op poort 8080 moet worden doorgesluisd naar de pc met ip-adres 192.168.0.20. Dat kan via port forwarding (ook wel port mapping of virtual server genoemd). De kans is groot dat je voor jouw routermodel de juiste instructies vindt op www.portforward.com.

Tip 5: Port triggering

Sommige applicaties die gelijktijdig verschillende connecties vereisen, denk aan internetgames of videoconferentie, ondersteunen port triggering. Dat kun je zien als port forwarding, maar dan met een automatische aan/uitknop (wat het net iets veiliger maakt dan port forwarding, waarbij de binnenkomende poorten altijd open staan). Het komt erop neer dat zo lang zo’n applicatie data via een specifieke poort uitstuurt, een andere poort (voor binnenkomende data) automatisch geforward wordt naar de pc waarop die applicatie draait. In tegenstelling tot port forwarding hoef je bij port triggering dus niet zelf het ip-adres van die pc in je router in te vullen. Iets veiliger en handiger dus, maar er zijn niet zoveel applicaties – of routers – die port triggering ondersteunen.

Tip 6: Upnp

Ondersteunt jouw applicatie upnp (universal plug and play), dan kan het nog anders. Deze functie zorgt er onder meer voor dat (alleen de nodige) poorten automatisch geopend worden, zodat die applicatie ook vanaf internet bereikbaar wordt. Voorwaarde is wel dat ook je router upnp ondersteunt. Is dat zo, dan hoef je die functie normaliter alleen maar op enabled te zetten. Weet wel dat nogal wat gebruikers er niet zo happig op zijn deze functie in te schakelen. Je weet nooit of malware op een of andere pc van deze mogelijkheid gebruik maakt om poorten open te zetten voor de buitenwereld.

Tip 7: Dmz

Naast port forwarding/triggering en upnp heb je nog een uitweg om bijvoorbeeld een server in je netwerk van buitenaf bereikbaar te maken: dmz (demilitarized zone – hoewel de term in deze context niet helemaal correct gebruikt is). Vul je op je router bij dmz het, bij voorkeur vaste!, lan-ip-adres in van een je netwerk-pc’s, dan komt het er eigenlijk op neer dat alle poorten tegelijk naar die pc geforward worden. Dat houdt echter wel in dat die pc blootstaat aan alle gevaren van internet. Probeer dat indien mogelijk te vermijden: immers, die pc is ook met de rest van je netwerk verbonden en dus lopen ook je andere pc’s indirect gevaar. Sommige routers laten je wel toe het ip-adres(bereik) in te stellen van de toestellen die van buitenaf je dmz-host mogen benaderen, wat toch al iets veiliger is.

Tip 8: Dynamisch dns

Wordt het wan-ip-adres van je router dynamisch toegekend door je provider, dan bestaat de kans dat het adres plots wijzigt, bijvoorbeeld na een reset van de router. Vervelend als je de router geregeld via internet wilt bereiken (zie ook bij port forwarding). Dat kun je oplossen door een gratis account te creëren bij een dienst als www.dyndns.com of www.no-ip.com: die koppelt namelijk een subdomeinnaam als mijnrouter.dyndns.info aan het wan-ip-adres van je router. Om te voorkomen dat die koppeling verbroken wordt zodra je router een ander ip-adres krijgt, kun je je router zo instellen dat die automatisch het nieuwe adres doorgeeft aan de dynamisch-dns-server. Deze mogelijkheid vind je terug in een rubriek als Dynamic DNS of DDNS; houd wel je accountgegevens van die service in de aanslag.

Tip 9: Traffic shaping

Als je online aan het gamen bent, vermijd je het liefst vervelende haperingen doordat een gebruiker op een andere pc – of een andere service op dezelfde pc – zwaar netwerkverkeer genereert. Dat kan je mogelijk verhelpen door de qos-functie (quality of service) in je router te activeren. De implementatie van deze functie verschilt wel eens per router, maar in de meeste gevallen komt het erop neer dat je uit een lijst een applicatie of online game kiest en de gewenste prioriteit instelt. Soms kun je ook een ip- of mac-adres selecteren, handig als je je eigen pc voorrang wil geven, of kun je zelf bepalen wat de minimale en maximale doorvoersnelheid moet zijn (binnen de beperken van je bandbreedte).

Tip 10: Logging

Wist je dat een router vaak interessante actuele of historische gegevens bijhoudt? Routerlogs en -statistieken vertellen je bijvoorbeeld welke pakketjes werden geblokkeerd vanaf welk ip-adres, welke (draadloze) clients op dit moment met je router zijn verbonden, inclusief mac-adres (stelende buren?), welke sessies actief zijn (leuk om uit te vissen welke pc’s naar welke adressen surfen), enzovoort. Zorg er wel voor dat je de tijd op je router correct instelt, zodat ook de logs de correcte tijdsaanduidingen weergeven. Afhankelijk van de router is het mogelijk op gezette tijden of onder bepaalde voorwaarden (een deel van) de logs naar een ingesteld adres door te mailen of de gelogde data naar een Syslog-server door te sturen voor verdere analyse – mocht je zo’n server draaien hebben, natuurlijk.

Tip 11: Afstandsbeheer

Je vindt het misschien verleidelijk ‘remote management’ op je router te activeren. Dat houdt in dat je de router dan ook via internet kunt benaderen om de configuratie aan te passen. Weet echter wel dat je hiermee de deur op een kier zet: wie je wachtwoord uitvist, kan dan allerlei aanpassingen verrichten, zoals eigen dns-servers invullen, zodat je ongemerkt naar foute sites wordt omgeleid. Als je deze functie absoluut toch wilt activeren, zorg dan voor een ijzersterk wachtwoord en – voor zover je router dat toelaat – beperk het remote management tot een specifiek ip-adres of -bereik, zodat niet om het even welke host een verbinding kan opzetten.

Tip 12: Mac-filtering

Wil je de draadloze toegang tot je router beperken tot toestellen met een specifiek mac-adres, dan kun je op je router mac-filtering activeren. Dat is niet meteen de meest geavanceerde beveiliging, maar het voldoet wellicht voor huis-, tuin- en keukenhackers. Afhankelijk van de router kun je mac-filtering ook activeren voor clients op je bekabeld netwerk. Dat kan handig zijn als je bijvoorbeeld wilt vermijden dat een huisgenoot of medewerker zomaar een toestel aan je netwerk wil koppelen.

Tip 13: Ssid broadcast

Specifiek voor draadloze netwerken kun je de router zo instellen dat die al dan niet het ssid – service set identifier, de naam van je draadloze netwerkje, zeg maar – uitzendt (broadcast). Veel gebruikers menen dat het uitschakelen van die broadcast het wlan veiliger maakt tegen inbrekers. Dat is echter een misvatting, aangezien je netwerkje ook zonder die broadcast nog altijd zichtbaar is (bijvoorbeeld in pakketjes als antwoord op verbindingsverzoeken oftewel probe requests). Sommige clients sturen zulke verzoeken zelfs door als dat netwerkje niet langer binnen bereik is – wat hackers de mogelijkheid geeft snel zelf een toegangspunt met die naam op te zetten. Veel beter dan de ssid broadcast uit te schakelen, is te zorgen voor een stevige wpa2-beveiliging met een ijzersterk wachtwoord. Nog beter: voorzie als ssid bijvoorbeeld een e-mailadres waarop buren je kunnen bereiken, mochten ze netwerktechnisch een en ander met jou willen afstemmen.

Tip 14: wan ping

In een eerste stadium trachten hackers vaak snel uit te vissen welke toestellen potentiële doelwitten zijn. In zijn eenvoudigste vorm versturen ze daarvoor pingverzoeken naar willekeurige ip-adressen, zoals het wan-ip-adres van je router. Daarom doe je er goed aan de router zo in te stellen dat die op zulke verzoeken niet reageert – althans niet wanneer het om een verzoek aan wan-zijde gaat. Die mogelijkheid vind je normaliter in de rubriek Security van je router, en meestal volstaat het een vinkje te plaatsen bij een optie als Ignore Ping Packet From WAN Port of het vinkje te verwijderen bij Enable WAN Ping Respond. Ga gerust zelf eens na wat het verschil is, bijvoorbeeld door een online poortscanner als ShieldsUP (www.grc.om) op je router los te laten!

Tip 15: Toegangscontrole

Beveiliging heeft vele gezichten: ervoor zorgen dat (jonge) huisgenoten niet op ongepaste sites botsen, is er een van. Daar bestaan natuurlijk services voor, zoals Norton Online Family of Windows Live Family Safety 2011, maar de kans is groot dat je een en ander ook op je router voor elkaar krijgt. Onze eigen MSI-router biedt op dit vlak nauwelijks voorzieningen, maar de D-Link- en vooral de Linksys- router blijken heel wat flexibeler. We nemen deze laatste als voorbeeld. Hier kun je bijvoorbeeld aangeven welke pc’s op welke tijdstippen internet (niet) op mogen. Verder kun je een (beperkt!) aantal verboden url’s of sleutelwoorden ingeven of aangeven dat verkeer van bepaalde protocollen en poort(bereik)en niet is toegelaten. Behoorlijk rudimentair, maar voor specifieke beperkingen volstaat het wellicht.

Tip 16: Configuratie

Een router volledig naar wens configureren, kan tijdrovend zijn. Staat alles eenmaal op zijn punt, dan doe je er ook goed aan een backup van die configuratie te maken. Die mogelijkheid vind je in nagenoeg elke router, bijvoorbeeld in de rubriek Administration of System Tools. De backup komt terecht in een bestand dat je via de restorefunctie in een noodgeval altijd kunt terugzetten. Beschik je niet over zo’n backup en krijg je de configuratie niet meer goed, dan keer je desnoods terug naar de fabrieksinstellingen, hetzij via een harde reset, hetzij via een optie in het configuratiescherm. Vergeet niet dat ook het aanmeld-ID dan terugvalt op de originele gebruikersnaam en wachtwoord. Op http://portforward.com/default_username_password vind je in ID’s voor vele tientallen modellen terug.

Tip 17: Bridging & roaming

Je hebt een nieuwe router gekocht, maar je zou je oude exemplaar graag nog gebruiken als (tweede) draadloze toegangspunt. Dat kan, zolang je er maar op let dat die oude router je netwerk niet ongewild in tweeën deelt. Je loopt dan immers het risico dat toestellen niet langer internet op kunnen of andere toestellen niet kunnen vinden. Idealiter voorziet je oude router daarvoor in een bridged mode. Wanneer je die activeert, worden automatisch alle routeerfuncties uitgeschakeld. Moet je het zonder deze functie stellen, zorg er dan zeker voor dat dhcp, dns en eventuele access control-, firewall- en port forwardingfuncties zijn uitgeschakeld. Vervolgens geef je de oude router een vast en uniek ip-adres binnen het bereik van je andere netwerktoestellen, die de adressen normaliter via de dhcp-server van je nieuwe router bedeeld krijgen. Zorg voor hetzelfde ssid als dat op je nieuwe router, maar zoek een kanaal dat bij voorkeur minstens vijf nummers verschilt van het kanaal van die router (bijvoorbeeld 1 en 6, of 6 en 11). Dat maakt het makkelijker om met je laptop ‘naadloos’ van het ene naar het andere toegangspunt te kunnen overstappen (roaming). Je oude router verbind je via een lan-poortje met de rest van je netwerk.

Tip 18: Firmware update

Het adagium If it aint’ broke, don’t fix it gaat niet altijd op (voor routers): het is bijvoorbeeld best mogelijk dat een wat oudere router geen wpa2-beveiliging ondersteunt, maar dat nieuwe firmware die mogelijkheid wél toevoegt. Daarom loont het de moeite af en toe bij je routerproducent te polsen of er geen recentere firmware beschikbaar is en wát die precies bijstuurt of toevoegt. Nagenoeg elke router biedt een optie aan om zichzelf van nieuwe firmware te voorzien – in de meeste gevallen volstaat het vanuit de routerinterface naar het gedownloade firmwarebestand te navigeren en de upgrade uit te voeren. Ga wel eerst goed na of de firmware wel specifiek voor jouw routertype en -model geschikt is en onderbreek het upgradeproces in geen geval! Zorg voordat je zo’n upgrade uitvoert, ook eerst voor een backup van je huidige routerconfiguratie (zie boven).

Tip 19: Alternatieve firmware

Schrikken experimenten je niet af, dan kun je eventueel uitkijken naar alternatieve firmware. Die is dus niet afkomstig van de routerproducent, maar biedt in veel gevallen interessante extra’s aan. Op http://tinyurl.com/alternatievefirmware-routers vind je links naar dergelijke firmware. Heel wat van deze projecten vinden hun oorsprong in uitbreidingen op de ooit erg populaire Linksys WRT54G-router, maar verschaffen intussen ook firmware voor diverse andere routermodellen. Een van de populairste projecten is DD-WRT (www.dd-wrt.com), waar je in een online database kunt checken in hoeverre je eigen router voor zo’n alternatieve upgrade in aanmerking komt. Neem in elk geval grondig alle instructies door voor je je aan zo’n experiment waagt! Experimenteren doe je hoe dan ook op eigen risico.

Tip 20: Eigen router

Tot slot, waarom zou je niet proberen je eigen router in elkaar te knutselen? Een wat oudere pc met (minimaal) twee netwerkkaarten en de gratis opensourcesoftware pfSense (www.pfsense.org) volstaan – naast de nodige tijd en kennis om alles naar wens te configureren, uiteraard. De software is gebaseerd op FreeBSD, maar voorziet wel in een uitstekende grafische interface voor de configuratie. Op de site kun je terecht voor uitgebreide documentatie en tutorials. Overigens biedt pfSense veel meer dan eenvoudige routerfuncties. Als we je even mogen laten watertanden: dhcp, dns, firewall, multi-wan, load balancing, vpn, dynamisch dns, captive portal, et cetera. Veel routerplezier!